Botnet de 1,3 mi de TVs cai; Mercado Bitcoin confirma ataque
Backdoor de fábrica em 1,3 milhão de TVs, falha do Brotli confirmada em ataques e freezers forçados ao degelo em seis países.
O resumo de 30 segundos
- Google derrubou botnet de 1,3 milhão de TV boxes Android com backdoor de fábrica; aparelhos continuam infectados e precisam ser trocados.
- Falha do Brotli já é explorada, confirma a CISA (agência de cibersegurança dos EUA), com prazo federal até 10 de novembro.
- Mercado Bitcoin confirmou ciberataque e travou saques; empresas de segurança estimam mais de US$ 46 milhões desviados, valor não confirmado.
- Freezers de supermercados foram hackeados em pelo menos seis países europeus e forçados ao degelo; estoques foram descartados.
- Ransomware criptografa aparelhos de armazenamento Synology com sistema desatualizado; fabricante pede atualização imediata e painel fora da internet.
Google derruba botnet de 1,3 milhão de TVs; backdoor segue no aparelho
Google e parceiros derrubaram os servidores de comando de uma rede de 1,3 milhão de TV boxes Android. Segundo o Google, a fabricante Videostrong embutiu um backdoor de fábrica e vendia o acesso a criminosos.
Os aparelhos capturavam telas, gravavam o que era digitado e extraíam dados de contas. O backdoor roda no firmware, se reinstala após reiniciar e o dono não consegue remover: é preciso trocar o aparelho. Empresas devem retirar TV boxes de redes corporativas.
Para o time técnico
Malware x.cpe embarcado no firmware de set-top boxes Android da Videostrong opera como app de sistema e se reinstala após reboot. Capturava screenshots, gravava keystrokes, exfiltrava dados de conta, abria reverse shell e desativava o Google Play Protect. C2 derrubado, mas o backdoor permanece; 182 modelos afetados identificados e a TrendAI contou 1.472.554 infectados entre junho e outubro.
- Afetados
- Set-top boxes Android da fabricante Videostrong; 182 modelos identificados; malware também visto em outros dispositivos Android
- Exploração
- ativa confirmada
- Correção
- Sem correção: o backdoor está no firmware; orientação é substituir o aparelho ou esperar intervenção do fabricante
O que fica: Hardware barato na rede corporativa pode vir com acesso criminoso embutido de fábrica.
Fontes: The Hacker News, @TheHackersNews 1, @TheHackersNews 2, @DailyDarkWeb
No radarAcompanhe este incidente ao vivo →CISA confirma exploração ativa do Node2Shell e fixa prazo em 10 de novembro
A CISA confirmou exploração ativa da falha Node2Shell, no decodificador de compressão Brotli, e fixou prazo federal até 10 de novembro. A CISA (agência de cibersegurança do governo dos EUA) só lista falhas já usadas em ataques reais.
A falha atinge Node.js, Bun, pacotes Python.NET, Visual Studio, PowerShell, Envoy, Istio, PHP para Windows e firewalls Palo Alto que inspecionam Brotli. Qualquer aplicação que descompacta conteúdo não confiável está exposta. Depois de atualizar, é preciso reiniciar serviços e reconstruir imagens de contêiner.
Para o time técnico
Out-of-bounds write no decodificador Brotli do Google (CVE-2026-111497, CVSS 9.2) permite execução remota de código sem autenticação via dados comprimidos maliciosos. A CISA listou a falha no KEV com prazo federal em 10 de novembro. Processos em execução seguem vulneráveis após a atualização até o reinício; contêineres exigem rebuild.
- CVE
- CVE-2026-111497, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-105481, CVE-2026-106072, CVE-2026-106074, CVE-2026-106070, CVE-2026-106071, CVE-2026-106073
- Afetados
- Brotli 1.0.3 a 1.2.0; Node.js 22.x, 24.x e 26.x anteriores às correções (linhas 20.x, 23.x e 25.x sem correção); Bun antes de 1.4.4; .NET, Visual Studio, PowerShell, Envoy e Istio com decompressão Brotli
- Exploração
- ativa confirmada
- Correção
- Node.js 22.23.4, 24.22.1 ou 26.12.1; Brotli 1.2.1; Bun 1.4.4; Brotli 1.2.1 e brotlicffi 1.2.1.0 no Python; atualizações Microsoft de 25 de outubro; reiniciar serviços e reconstruir contêineres
O que fica: Atualizar sem reiniciar deixa o processo antigo, vulnerável, rodando por semanas.
Fontes: Microsoft, The Hacker News, @ethiack, @IntCyberDigest
No radarAcompanhe este incidente ao vivo →Cursor: versão com backdoor ficou 11 horas no ar; limpeza manual é necessária
A exposição durou 11 horas: cópias adulteradas da extensão Claude Code ficaram no marketplace do Cursor em 29 de outubro instalando um acesso remoto permanente (backdoor SSH). O Cursor confirma no máximo 5.000 usuários afetados; a extensão maliciosa não foi feita pela Anthropic.
O que mudou: as chaves foram giradas e o servidor dos atacantes saiu do ar com o provedor de nuvem. Só atualizar ou desinstalar não limpa a máquina infectada; é preciso remover a chave SSH e os scripts de persistência em cada host afetado.
Para o time técnico
As versões 2.1.312 e 2.1.313 da extensão Claude Code no marketplace do Cursor injetavam loader malicioso com persistência SSH (chave do atacante) e túnel reverso, coletando hostname, usuário, sistema e e-mail do Git. Corrigido na versão 2.1.314; o Cursor publicou IoCs e script de detecção.
- Afetados
- Usuários que instalaram Claude Code para VS Code 2.1.312 ou 2.1.313 pelo marketplace do Cursor, em janela de cerca de 11 horas em 29 de outubro
- Exploração
- ativa confirmada
- Correção
- Atualizar para Claude Code 2.1.314; em hosts afetados, isolar, remover a chave SSH não autorizada, os scripts de persistência e os processos de túnel; avaliar reconstrução da máquina
Fontes: @cursor_ai, The Hacker News, @TheHackersNews
No radarAcompanhe este incidente ao vivo →Mercado Bitcoin confirma ataque e trava saques; estimativa passa de US$ 46 milhões
A Mercado Bitcoin confirmou ciberataque e suspendeu depósitos e saques. Empresas de segurança de blockchain estimam mais de US$ 46 milhões em saídas suspeitas da plataforma. A empresa diz que dados e ativos dos clientes estão seguros e promete restaurar a operação nos próximos dias.
Especialistas apresentam evidências de blockchain que contrariam a versão da empresa, com carteiras de clientes aparentemente drenadas. A Tether, emissora do USDT, congelou cerca de US$ 4,5 milhões; outras plataformas, US$ 2 milhões. A exchange declara cerca de 4,5 milhões de clientes.
Para o time técnico
A exchange brasileira confirmou brecha e suspendeu depósitos e saques. A Hypernative sinalizou mais de US$ 40 milhões em transferências suspeitas em cerca de 10 blockchains; a estimativa agregada do caso aponta mais de US$ 46 milhões. Tether congelou cerca de US$ 4,5 milhões e outras plataformas, US$ 2 milhões.
- Afetados
- Plataforma da Mercado Bitcoin; causa raiz não informada nas fontes
- Exploração
- não informado nas fontes
- Correção
- Depósitos e saques suspensos; a empresa promete restaurar a plataforma nos próximos dias
Fontes: @coinbureau, @WatcherGuru, @PabloSabbatella
No radarAcompanhe este incidente ao vivo →Binance: 7.541 carteiras do roubo de US$ 6,3 bilhões seguem monitoradas
O roubo de US$ 6,3 bilhões na Binance, atribuído pela TRM Labs, empresa de análise de blockchain, ao grupo norte-coreano TraderTraitor, segue ativo. O monitoramento cita 7.541 carteiras sob observação: 3.849 ainda retêm parte do valor, a maioria em ETH e BTC, movidos via bridges.
Quase US$ 3 bilhões foram congelados com emissores e parceiros, mas cerca de US$ 2,4 bilhões seguem fora do alcance, segundo a TRM. Quem recebe cripto deve triar endereços do caso antes de aceitar depósitos de bridges e market makers.
Para o time técnico
O monitoramento do caso lista 7.541 carteiras: 3.692 no fluxo dos fundos e 3.849 retendo parte do valor, maioria em ETH e BTC, movidos com uso de bridges. O FBI publicou mais de 600 endereços ligados ao roubo. A TRM Labs atribui o ataque ao grupo TraderTraitor, da Coreia do Norte.
- Afetados
- Carteiras quentes da Binance em dez blockchains, no roubo de 29 de outubro
- Exploração
- não informado nas fontes
- Correção
- Quase US$ 3 bilhões congelados com emissores e parceiros; Binance cobre perdas com fundos próprios e SAFU; saques foram retomados
Fontes: @WatcherGuru, @pashov, @vxunderground
No radarAcompanhe este incidente ao vivo →Plugin de cripto no WordPress sofre tentativas de exploração sem correção
Plugin de criptomoedas no WordPress sofre tentativas de exploração, segundo a Defused Cyber. A falha, no CryptoPayment Gateway, é de gravidade máxima e sem correção: sem login, atacante apaga arquivos, extrai credenciais de carteiras e muda para onde os pagamentos vão.
Se explorada, a falha entrega credenciais das carteiras e permite redirecionar recebimentos para contas do atacante. Lojas e sites de cobrança em WordPress são o alvo. Sem patch, quem usa o plugin precisa decidir entre desativá-lo e monitorar de perto.
Para o time técnico
CVE-2026-81648 (CVSS 10.0) no plugin CryptoPayment Gateway para WordPress permite a atacantes não autenticados deletar arquivos arbitrários no servidor, extrair credenciais de carteiras e sobrescrever configurações de pagamento. A Defused Cyber relata tentativas de exploração em campo; não há correção conhecida.
- CVE
- CVE-2026-81648
- Afetados
- Plugin CryptoPayment Gateway para WordPress; versões não especificadas nas fontes
- Exploração
- ativa confirmada
- Correção
- Não há correção conhecida; mitigação é desativar o plugin e monitorar arquivos do servidor, configurações de pagamento e movimentos das carteiras
Fontes: The Hacker News, @TheHackersNews
No radarAcompanhe este incidente ao vivo →Mais de 1.000 servidores GitLab seguem expostos a falha em exploração ativa
Mais de 1.000 servidores GitLab seguem expostos na internet a uma falha de gravidade máxima que deixa invasores rodar comandos no servidor sem senha, em exploração ativa confirmada pela CISA. O prazo federal de correção venceu em 1º de novembro.
A falha expõe instâncias com código-fonte, segredos de CI/CD e automação de entrega: um servidor tomado entrega código e senhas e permite adulterar software. O caso do Alpine Linux mostrou que atualizar o GitLab não basta se o Ruby próprio segue antigo.
Para o time técnico
CVE-2026-97229 (CVSS 10.0): integer overflow no compilador de expressões regulares do CI/CD (engine Onigmo do Ruby) permite RCE não autenticado via regex maliciosa em configuração de CI. Adicionada ao KEV da CISA em 29 de outubro, com exploração ativa confirmada; houve tentativa contra o GitLab do projeto Alpine Linux. Mais de 1.000 servidores seguem expostos.
- CVE
- CVE-2026-97229
- Afetados
- GitLab CE/EE 19.2 antes de 19.2.8, 19.3 antes de 19.3.5 e 19.4 antes de 19.4.2, self-managed
- Exploração
- ativa confirmada
- Correção
- GitLab 19.2.8, 19.3.5 ou 19.4.2; com Ruby próprio, atualizar também para Ruby 3.3.13, 3.4.12, 4.0.9 ou posterior; sinais de ataque exigem reconstrução e redefinição de credenciais
O que fica: Corrigir o aplicativo pode não corrigir a dependência que ele embute.
Fontes: The Hacker News, CISA KEV, @DailyDarkWeb
No radarAcompanhe este incidente ao vivo →Kernel Linux: varredura atrás da falha 9,8; Ubuntu e Red Hat seguem sem patch
Um pesquisador detectou varredura na internet atrás de servidores expostos à falha crítica do kernel Linux (9,8 de 10), que dá controle total do servidor sem senha. Ubuntu e Red Hat seguiam sem correção em 29 de outubro; Debian e outras distribuições já liberaram patches.
Um modelo de IA escreveu um exploit funcional da falha, segundo a Anthropic; ele não foi divulgado e não há ataques conhecidos. Programas em Go 1.24 ou mais novo usam Multipath TCP por padrão no Linux, ampliando a exposição. Sem patch, desative o MPTCP.
Para o time técnico
CVE-2026-98432 (CVSS 9.8): use-after-free por race condition na pilha TCP IPv4, disparável antes da autenticação em hosts com listener Multipath TCP; permite corromper memória e executar comandos como root. A Anthropic gerou exploit funcional com modelo não lançado, não divulgado, em cerca de 53 minutos de teste. Varredura internet-wide já detectada, sem exploração conhecida na natureza.
- CVE
- CVE-2026-98432
- Afetados
- Kernel Linux 4.4 e posteriores com listener Multipath TCP ativo
- Exploração
- não observada
- Correção
- Kernels estáveis corrigidos (5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3); Debian, Oracle, Amazon e SUSE liberaram parte dos ramos; Ubuntu e RHEL sem pacote em 29 de outubro. Mitigação: sysctl net.mptcp.enabled=0
Fontes: The Hacker News, @TheHackersNews, @DarkWebInformer, @IntCyberDigest
No radarAcompanhe este incidente ao vivo →Segunda onda força freezers ao degelo em mais de 100 lojas na Europa
Atacantes forçaram freezers de supermercados ao degelo na madrugada de 2 de novembro, na segunda onda em três semanas. Mais de 100 lojas foram atingidas em pelo menos seis países, com relatos também na Finlândia, Itália e Portugal. Alimentos foram descartados.
Equipamentos chegaram a 50 °C e pelo menos uma loja fechou. Segundo a Kitman Coldtech, da Estônia, o acesso veio por controladores antigos expostos à internet. A Danfoss reconheceu ao menos 17 empresas atingidas e orienta cortar o acesso à internet dos controladores.
Para o time técnico
Manipulação remota de temperatura em controladores antigos de refrifgeração Danfoss AK-SM/AK-SC e Copeland, expostos à internet e sem atualização de segurança. Segunda onda em três semanas; nenhum grupo reivindicou autoria. Sem patch: mitigação é retirar os controladores da internet, trocar credenciais padrão e planejar substituição.
- Afetados
- Controladores antigos Danfoss AK-SM/AK-SC e Copeland expostos à internet, em redes como Ahold Delhaize, Colruyt, Delhaize, ICA e Coop
- Exploração
- ativa confirmada
- Correção
- Sem patch para os modelos antigos; Danfoss orienta cortar o acesso à internet, reconectar só por rede segura e planejar modificação física ou substituição
O que fica: Equipamento velho exposto à internet vira alvo assim que alguém o procura.
Fontes: The Record, @TGLetter, @InsiderGeo, @coinbureau
No radarAcompanhe este incidente ao vivo →Synology alerta: ransomware C3RB3R criptografa NAS com DSM desatualizado
A Synology confirmou ataques de ransomware que criptografam dados dos seus aparelhos de armazenamento (NAS) e exigem resgate. Os atacantes usam uma falha corrigida em dezembro de 2024, em equipamentos com o sistema DSM desatualizado. Vítimas relatam arquivos travados com a extensão .L0CK3D.
A Synology não identificou a falha em uso. A 360 e a Solar, empresas de segurança chinesas, divergem: uma liga os casos a falhas corrigidas em setembro, outra suspeita de zero-day em vítima atualizada. Pesquisador cita milhares de atingidos, sem verificação.
Para o time técnico
Ransomware C3RB3R criptografa dados em NAS Synology com DSM desatualizado; arquivos ganham a extensão .L0CK3D e a nota read-me3.txt direciona à compra de um decryptor. A Synology aponta o aviso Synology-SA-24:20 (CVE-2024-10441, CVE-2024-50629, CVE-2024-10445), corrigido em dezembro de 2024, sem confirmar o vetor exato. A 360 cita falhas corrigidas em setembro e a Solar suspeita de zero-day em vítima no DSM 7.4.1 mais recente.
- CVE
- CVE-2024-10441, CVE-2024-50629, CVE-2024-10445
- Afetados
- NAS Synology com versões desatualizadas do DSM, vulneráveis conforme o aviso Synology-SA-24:20
- Exploração
- ativa confirmada
- Correção
- Atualizar o DSM e ativar atualizações automáticas; correção da falha citada existe desde dezembro de 2024; remover a interface de gestão da exposição direta à internet e conferir backups offline
O que fica: Correção lançada meses atrás segue entregando vítimas a quem não atualizou.
Fontes: The Hacker News, @DailyDarkWeb, @DarkWebInformer, @IntCyberDigest
No radarAcompanhe este incidente ao vivo →Pra fechar
O padrão do dia se repete: falha com correção disponível segue rendendo vítimas, do Synology ao GitLab, e atacantes varrem a internet atrás de sistemas sem patch, do kernel Linux aos controladores de refrigeração. Em quase todo caso, o alvo já estava exposto antes de alguém da empresa procurar. Corrigir rápido e conferir se a correção funcionou é o que evita o prejuízo.
O que a sua empresa ainda não procurou na própria infraestrutura?
Várias destas falhas já tinham correção disponível antes de virar ataque.
Solicitar conversa